Mirrors/hacktricks
2
0
Fork 0
mirror of https://github.com/carlospolop/hacktricks synced 2024-11-23 13:13:41 +00:00
Code Issues Projects Releases Packages Wiki Activity
hacktricks/binary-exploitation/common-binary-protections-and-bypasses/stack-canaries/print-stack-canary.md

5.3 KiB
Raw Blame History

Drucken Sie den Stack-Canary

Lernen Sie AWS-Hacking von Null auf Held mit htARTE (HackTricks AWS Red Team Expert)!

Andere Möglichkeiten, HackTricks zu unterstützen:

Vergrößern Sie den gedruckten Stack

Stellen Sie sich eine Situation vor, in der ein Programm anfällig für einen Stack-Überlauf eine puts-Funktion ausführen kann, die auf einen Teil des Stack-Überlaufs zeigt. Der Angreifer weiß, dass das erste Byte des Canary ein Nullbyte (\x00) ist und der Rest des Canary zufällige Bytes sind. Dann kann der Angreifer einen Überlauf erstellen, der den Stack überschreibt, bis nur das erste Byte des Canary übrig ist.

Dann ruft der Angreifer die Funktionalität puts in der Mitte des Payloads auf, die den gesamten Canary (außer dem ersten Nullbyte) ausdruckt.

Mit diesen Informationen kann der Angreifer einen neuen Angriff entwerfen und senden, wobei er den Canary kennt (in derselben Programmsitzung).

Offensichtlich ist diese Taktik sehr eingeschränkt, da der Angreifer in der Lage sein muss, den Inhalt seines Payloads zu drucken, um den Canary zu extrahieren und dann in derselben Programmsitzung einen neuen Payload zu erstellen und den echten Pufferüberlauf zu senden.

CTF-Beispiele:

  • https://guyinatuxedo.github.io/08-bof_dynamic/csawquals17_svc/index.html
  • 64 Bit, ASLR aktiviert, aber kein PIE, der erste Schritt besteht darin, einen Überlauf zu füllen, bis das Byte 0x00 des Canary erreicht ist, um dann puts aufzurufen und ihn preiszugeben. Mit dem Canary wird ein ROP-Gadget erstellt, um puts aufzurufen, um die Adresse von puts aus dem GOT preiszugeben, und ein ROP-Gadget, um system('/bin/sh') aufzurufen.
  • https://guyinatuxedo.github.io/14-ret_2_system/hxp18_poorCanary/index.html
  • 32 Bit, ARM, kein relro, Canary, nx, kein PIE. Überlauf mit einem Aufruf von puts darauf, um den Canary zu preisgeben + ret2lib, der system mit einer ROP-Kette aufruft, um r0 (arg /bin/sh) und pc (Adresse von system) zu poppen

Beliebige Lesezugriff

Mit einem beliebigen Lesezugriff wie dem, der durch Format Strings bereitgestellt wird, könnte es möglich sein, den Canary preiszugeben. Überprüfen Sie dieses Beispiel: https://ir0nstone.gitbook.io/notes/types/stack/canaries und Sie können lesen, wie Sie Formatstrings missbrauchen, um beliebige Speicheradressen zu lesen:

{% content-ref url="../../format-strings/" %} format-strings {% endcontent-ref %}

Lernen Sie AWS-Hacking von Null auf Held mit htARTE (HackTricks AWS Red Team Expert)!

Andere Möglichkeiten, HackTricks zu unterstützen: